BDU:2021-03305

Опубликовано: 13 мая 2021

Источник: fstec

CVSS3: 5.3

CVSS2: 5

EPSS Низкий

Описание

Уязвимость программной платформы для разработки и управления веб-приложениями Symfony связана с раскрытием информации. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, получить несанкционированный доступ к защищаемой информации

Вендор

Fedora Project

SensioLabs, symfony community

ООО «РусБИТех-Астра»

АО "НППКТ"

Наименование ПО

Fedora

Symfony

Astra Linux Special Edition

ОСОН ОСнова Оnyx

Версия ПО

33 (Fedora)

34 (Fedora)

до 3.4.48 (Symfony)

до 4.4.23 (Symfony)

до 5.2.8 (Symfony)

1.7 (Astra Linux Special Edition)

4.7 (Astra Linux Special Edition)

до 2.9 (ОСОН ОСнова Оnyx)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Fedora Project Fedora 33

Fedora Project Fedora 34

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7

ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7

АО "НППКТ" ОСОН ОСнова Оnyx до 2.9

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 5)

Средний уровень опасности (базовая оценка CVSS 3.0 составляет 5,3)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для Symfony:

https://github.com/symfony/symfony/commit/2a581d22cc621b33d5464ed65c4bc2057f72f011

https://github.com/symfony/symfony/security/advisories/GHSA-5pv8-ppvj-4h68

Для Fedora:

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/KENRNLB3FYXYGDWRBH2PDBOZZKOD7VY4/

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/RH7TMM5CHQYBFFGXWRPJDPB3SKCZXI2M/

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/UC7BND775DVZDQT3RMGD2HVB2PKLJDJW/

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/VRUS2H2SSOQWNLBD35SKIWIDQEMV2PD3/

Для ОСОН ОСнова Оnyx:

Обновление программного обеспечения symfony до версии 3.4.22+dfsg-2+deb10u3

Для ОС Astra Linux:

обновить пакет symfony до 3.4.22+dfsg-2+deb10u3+ci202404151627+astra2 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2024-0830SE17

Для Astra Linux Special Edition 4.7 для архитектуры ARM:

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2021-21424
CVE

EPSS

Процентиль: 43%

0.00207

Низкий

5.3 Medium

CVSS3

5 Medium

CVSS2

Связанные уязвимости

CVE-2021-21424

CVSS3: 5.3

ubuntu

около 4 лет назад

Symfony is a PHP framework for web and console applications and a set of reusable PHP components. The ability to enumerate users was possible without relevant permissions due to different handling depending on whether the user existed or not when attempting to use the switch users functionality. We now ensure that 403s are returned whether the user exists or not if a user cannot switch to a user or if the user does not exist. The patch for this issue is available for branch 3.4.

CVE-2021-21424

CVSS3: 5.3

nvd

около 4 лет назад

CVE-2021-21424

CVSS3: 5.3

debian

около 4 лет назад

Symfony is a PHP framework for web and console applications and a set ...

GHSA-5pv8-ppvj-4h68

CVSS3: 5.3

github

около 4 лет назад

Prevent user enumeration using Guard or the new Authenticator-based Security

EPSS

Процентиль: 43%

0.00207

Низкий

5.3 Medium

CVSS3

5 Medium

CVSS2